Vulnerabilità ed exploit · Attacco ad app web

Il cookie admin di HFS si può falsificare offline

Su Rejetto HTTP File Server (HFS) CVE-2026-61500 è passato da difetto di autenticazione a via pratica di takeover: un public PoC ha abbassato la barriera e VulnCheck ha osservato tentativi di sfruttamento contro server esposti. La falla riguarda HFS 3.0.0-3.2.0; la correzione è già in 3.2.1.

Il problema è che HFS ricava la chiave che firma la sessione admin da Math.random() e, durante il login, espone anche output dello stesso generatore. Con pochi scambi di login, un attaccante può ricostruire lo stato del PRNG, ricavare la chiave, forgiare un cookie amministratore valido e arrivare a RCE tramite la funzione server_code.

Per chi espone HFS su Internet, il punto non è solo la vulnerabilità originale ma la fiducia rotta nel cookie di sessione: un host raggiungibile può essere già stato usato per entrare nell’API amministrativa senza lasciare i segnali classici di un furto di credenziali. CVE-2026-61500 è anche la seconda falla di HFS finita sotto sfruttamento attivo in poco tempo.

3 fonti · 3 ore fa

CVE-2026-61500

NVD KEV

CVSS 9.8 CRITICAL: rejetto HFS 3.0.0 through 3.2.0 derives its session-cookie signing key from the non-cryptographic Math.random()… EPSS 1.0% (61º percentile).

Cronologia

5 ott Segnalato da SecurityWeek
3 ott Segnalato da The Register Security

Fonti

5 ott SecurityWeek
Exploitation Hits Rejetto HFS Vulnerability Discovered by AI
CVE-2026-61500 allows attackers to recover the session-cookie signing key and gain administrative access and RCE.
originale
5 ott The Hacker News
Attackers Target Rejetto HFS Flaw That Enables Admin Session Forgery and RCE
Rejetto HFS CVE-2026-61500 faces exploitation attempts after a public PoC showed forged admin sessions can lead to remote code execution.
originale
3 ott The Register Security
Anthropic's super bug-hunting model Mythos is hardcore good at math, as latest vuln under attack shows
Exploitation attempts came from China-hosted IP, VulnCheck researcher says
originale

Part of the PlainSec briefing for 2026-10-05

Every edition of this story: Il cookie admin di HFS si può falsificare offline

Altro da oggi

Vulnerabilità ed exploit · Attacco ad app webIl cookie admin di HFS si può falsificare offlineSu Rejetto HTTP File Server (HFS) CVE-2026-61500 è passato da difetto di autenticazione a via pratica di takeover: un public PoC ha abbassato la barriera e VulnCheck ha osservato tentativi di sfruttamento contro server esposti. La falla riguarda HFS 3.0.0-3.2.0; la correzione è già in 3.2.1.Il problema è che HFS ricava la chiave che firma la sessione admin da Math.random() e, durante il login, espone anche output dello stesso generatore. Con pochi scambi di login, un attaccante può ricostruire lo stato del PRNG, ricavare la chiave, forgiare un cookie amministratore valido e arrivare a RCE tramite la funzione server_code.Per chi espone HFS su Internet, il punto non è solo la vulnerabilità originale ma la fiducia rotta nel cookie di sessione: un host raggiungibile può essere già stato usato per entrare nell’API amministrativa senza lasciare i segnali classici di un furto di credenziali. CVE-2026-61500 è anche la seconda falla di HFS finita sotto sfruttamento attivo in poco tempo.3 fonti · 3 ore fa

CVE-2026-61500

NVD KEV

CVSS 9.8 CRITICAL: rejetto HFS 3.0.0 through 3.2.0 derives its session-cookie signing key from the non-cryptographic Math.random()… EPSS 1.0% (61º percentile).

Cronologia

5 ott Segnalato da SecurityWeek

3 ott Segnalato da The Register Security

Fonti

5 ott SecurityWeek

Exploitation Hits Rejetto HFS Vulnerability Discovered by AI

CVE-2026-61500 allows attackers to recover the session-cookie signing key and gain administrative access and RCE.

originale

5 ott The Hacker News

Attackers Target Rejetto HFS Flaw That Enables Admin Session Forgery and RCE

Rejetto HFS CVE-2026-61500 faces exploitation attempts after a public PoC showed forged admin sessions can lead to remote code execution.

originale

3 ott The Register Security

Anthropic's super bug-hunting model Mythos is hardcore good at math, as latest vuln under attack shows

Exploitation attempts came from China-hosted IP, VulnCheck researcher says

originale

Part of the PlainSec briefing for 2026-10-05Every edition of this story: Il cookie admin di HFS si può falsificare offlineAltro da oggi

Il ponte AI di GitLab espone solo chi lo ospita

Warlock allarga l’assalto a SharePoint oltre ToolShell

FortiMail passa da falla a compromissione attiva